«Критическая инфраструктура» звучит как что-то, касающееся только атомных станций и электросетей — но крупный логистический оператор с автоматизированными системами управления вполне может под это попасть. Разбираю, что такое КИИ применительно к транспорту и почему это стоит проверить заранее, а не постфактум.
Что такое объект КИИ
Закон о безопасности критической информационной инфраструктуры распространяется на информационные системы компаний из определённых сфер, включая транспорт, если нарушение их работы способно повлечь значимые негативные последствия — например, остановку значительного грузопотока или сбой в системах управления движением. Категория присваивается не по размеру компании формально, а по значимости её систем для отрасли и региона.
Что это означает практически
| Требование | Что нужно сделать |
|---|---|
| Категорирование объектов | формально определить и зарегистрировать значимые информационные системы компании |
| Обеспечение защиты информации | внедрить меры кибербезопасности соразмерно категории значимости |
| Взаимодействие с регулятором при инцидентах | обязанность сообщать о значимых киберинцидентах |
Кому реально стоит это проверить
В первую очередь — крупным логистическим операторам с собственными автоматизированными системами диспетчеризации, компаниям, чья работа критична для регионального грузопотока, и тем, кто интегрирован с государственными информационными системами вроде ГИС ЭПД на значимом уровне. Небольшому автопарку с ручным управлением этот вопрос практически не касается.
Частые вопросы
Как узнать, попадает ли компания под требования КИИ?
Проводится процедура категорирования — компания сама оценивает свои системы по установленным критериям значимости, при неопределённости стоит проконсультироваться со специалистом по информационной безопасности.
Что грозит за игнорирование требований, если компания подпадает под КИИ?
Ответственность предусмотрена административным и в отдельных случаях уголовным законодательством за нарушение требований безопасности значимых объектов — конкретика зависит от характера нарушения.
Вывод
Требования КИИ касаются далеко не каждой транспортной компании, но крупным логистическим операторам с собственной информационной инфраструктурой стоит заранее пройти процедуру категорирования, а не выяснять это после инцидента.
Не нашли ответ? Спросите Цифрового механика.